CVE-2018-25120

Skrypt webowy obsługujący endpoint '/goform/Mail_Test' przekazuje parametry formularza bezpośrednio do wywołania systemowego narzędzia e-mail bez odpowiedniej walidacji danych wejściowych. Atakujący może dostarczyć spreparowane dane formularza zawierające dodatkowe polecenia powłoki (shell commands), które zostaną wykonane przez system operacyjny urządzenia. Podatność jest dostępna bez uwierzytelnienia, co oznacza, że każdy użytkownik sieciowy z dostępem do interfejsu webowego może ją wykorzystać.

Atakujący uzyskuje zdalne wykonanie kodu (RCE) z uprawnieniami root na podatnym urządzeniu, co daje mu pełną kontrolę nad urządzeniem i przechowywanymi danymi.

Producent D-Link ogłosił koniec cyklu życia (end-of-life) dla linii produktów DNS-343 — nie będą wydawane patche bezpieczeństwa. Zaleca się natychmiastowe wycofanie urządzeń z eksploatacji lub co najmniej izolację ich od sieci publicznej i niezaufanych segmentów sieci (np. ograniczenie dostępu do interfejsu webowego wyłącznie z zaufanych adresów IP za pomocą firewall). Docelowo urządzenia należy zastąpić wspieranym sprzętem innego producenta lub nowszą linią produktów D-Link.

D-Link DNS-343 ShareCenter z oprogramowaniem firmware w wersjach do 1.05 włącznie.

Urządzenie D-Link DNS-343 zostało oficjalnie uznane przez producenta za end-of-life — nie są i nie będą wydawane aktualizacje bezpieczeństwa. Publicznie dostępny exploit opublikowany w bazie Exploit-DB (ID 43845) potwierdza możliwość praktycznego wykorzystania podatności.